AI Governance und das ungelöste Inferenz-Problem
Selbst wenn KI-Modelle vertrauliche Daten nicht mehr direkt ausgeben, verraten ihre indirekten Antworten, was sie wissen. Aktuelle Forschung zeigt: Dieses Problem ist fundamental unlösbar, und das verändert, wie Unternehmen über KI-Sicherheit denken sollten.
Ihre KI weiss mehr, als sie sollte, und es gibt keinen Weg, sie vergessen zu lassen.
Die meisten Unternehmen betrachten KI-Datenlecks als vermeidbares Ingenieursproblem: falsche Ausgaben blockieren, sensible Inhalte filtern, fertig. Doch die akademische Forschung erzählt eine andere Geschichte. Die Spannung zwischen Nützlichkeit und Vertraulichkeit eines KI-Modells ist keine Lücke zum Flicken, es ist ein informationstheoretisches Dilemma. Und es betrifft jedes Unternehmen, das heute KI einsetzt.
Das ist nicht hypothetisch. Samsung, ChatGPT und GitHub Copilot standen alle im Zentrum dokumentierter Datenpannen. Aber diese sichtbaren Vorfälle sind nur die Oberfläche eines viel tieferen Strukturproblems.
Die Regulierungslandschaft: ein Mosaik in Bewegung
Der EU AI Act (Verordnung 2024/1689) ist seit August 2024 in Kraft und wird bis 2027 vollständig anwendbar. Er folgt einem risikobasierten Ansatz: Verbotene Praktiken wie Social Scoring sind seit Februar 2025 untersagt, Hochrisiko-KI unterliegt ab August 2026 strengen Konformitätsanforderungen, und GPAI-Modelle wie GPT und Claude müssen ab August 2025 Transparenzpflichten erfüllen. Verstösse können mit bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes geahndet werden.
Parallel divergiert der Rest der Welt. Die USA unter Präsident Trump widerriefen Bidens KI-Sicherheitsverordnung im Januar 2025. China verlangt seit September 2025, dass alle KI-generierten Inhalte gekennzeichnet werden. Singapur veröffentlichte im Januar 2026 das weltweit erste Governance-Framework für Agentic AI.
Zwei Unternehmensstandards kristallisieren sich heraus: das NIST AI Risk Management Framework und die ISO/IEC 42001:2023. Doch eine Deloitte-Studie zeigt die Lücke: Nur 9 % der Organisationen verfügen über ein ausgereiftes AI-Governance-Framework, und lediglich 28 % haben eine Aufsicht auf Vorstandsebene.
Die Vorfälle, die Sie wachhalten sollten
Im März 2023, weniger als einen Monat nach der internen Freigabe von ChatGPT, passierten bei Samsung Semiconductor drei separate Vorfälle. Ein Mitarbeiter fügte proprietären Chip-Messcode in ChatGPT ein. Ein zweiter übermittelte Yield-Optimierungscode. Ein dritter transkribierte ein vertrauliches Meeting und liess ChatGPT Protokoll erstellen. Samsungs Antwort war unmissverständlich: Die geleakten Daten seien von OpenAIs Servern nicht mehr löschbar.
Im gleichen Monat exponierte ein Redis-Bug bei OpenAI Gesprächstitel und Zahlungsdaten anderer ChatGPT-Plus-Nutzer. Im Juni 2025 ermöglichte die CamoLeak-Schwachstelle (CVSS 9.6) in GitHub Copilot die Exfiltration von Quellcode aus privaten Repositories. Und Lasso Security entdeckte, dass Caching-Mechanismen in Microsoft Copilot private GitHub-Repos von 16'000 Organisationen exponiert hatten, darunter IBM, Google und PayPal.
Das Ausmass ist alarmierend. Cyberhavens Analyse von 7 Millionen Arbeitnehmern (Q2 2025) zeigt: 39,7 % aller KI-Interaktionen enthalten sensible Daten, ein Anstieg um 270 % seit März 2023.
Warum Inferenz-Angriffe das eigentliche Governance-Problem sind
Die bisherigen Vorfälle betreffen direkte Datenlecks. Doch das fundamentalere Problem liegt in der indirekten Informationspreisgabe durch Inferenz.
Membership-Inference-Angriffe ermitteln, ob bestimmte Daten im Training enthalten waren. Model-Inversion-Angriffe rekonstruieren Trainingsdaten aus Modellausgaben. Property-Inference-Angriffe leiten Eigenschaften der Trainingsdatenverteilung ab.
Forscher der ETH Zürich demonstrierten etwas noch Besorgniserregenderes: Die Sicherheitsmechanismen selbst erzeugen Seitenkanäle. Ein Memorisierungsfilter wird paradoxerweise zum binären Orakel, systematisches Abfragen ermöglicht nahezu perfekte Membership Inference.
Stellen Sie sich vor, ein LLM wird auf Daten mehrerer Unternehmen feinabgestimmt. Durch eine Serie von Ja/Nein-Vergleichsfragen können Relativwerte rekonstruiert werden, eine binäre Suche auf vertrauliche Preisinformationen.
Die mathematische Grundlage lieferten Dinur und Nissim 2003: Das Fundamental Law of Information Recovery beweist, dass die Beantwortung hinreichend vieler harmloser Anfragen über eine Datenbank unweigerlich sensible Informationen preisgibt. Das ist kein Implementierungsdefizit, es ist ein Theorem.
Vier Verteidigungslinien, und ihre ehrliche Bilanz
Differential Privacy bietet die stärksten mathematischen Garantien, schützt aber nur Trainingsdaten, nicht Daten, die zur Inferenzzeit über Kontext, RAG oder Systemprompts zugeführt werden.
Federated Learning verhindert Rohdaten-Zentralisierung, schützt aber nicht gegen Inferenz-Angriffe. Gradient-Leakage-Angriffe können Trainingsdaten aus geteilten Gradienten rekonstruieren.
Machine Unlearning, das gezielte \"Vergessen\", ist fundamental gescheitert. CMU-Forscher zeigten, dass alle gängigen Methoden durch \"Relearning Attacks\" umgangen werden können.
Guardrails fangen offensichtliche Lecks ab, versagen aber systematisch gegen indirekte Inferenz und Multi-Turn-Angriffe.
Die Konsequenz: Governance ist die einzige realistische Strategie
Keine einzelne Technologie löst das Inferenz-Problem. Die Kernparadoxie bleibt: Damit ein KI-Modell nützlich ist, muss es Wissen aus Daten kodieren. Damit es privat ist, darf es dieses Wissen nicht preisgeben.
Die praktische Konsequenz ist ein mehrschichtiger Ansatz:
Daten-Governance zuerst. Definieren, welche Daten in welche KI-Systeme fliessen dürfen, bevor ein Modell sie berührt. Eine Governance-Schicht, die jede Interaktion zwischen Menschen und KI-Modellen abfängt, klassifiziert und durchsetzt, verhindert das Problem an der Quelle.
Strikte Mandantentrennung. Separate RAG-Indizes, mandantenspezifische Modellinstanzen, niemals feinabgestimmte Modelle organisationsübergreifend teilen.
Kontinuierliches Red-Teaming. Guardrails sind notwendig, aber unzureichend. Regelmässige adversariale Tests sind der einzige Weg, die tatsächliche Exposition zu verstehen.
Compliance als Mindeststandard, nicht als Ziel. Der EU AI Act und ISO 42001 schaffen notwendige Strukturen, adressieren aber das Inferenz-Problem nicht explizit.
Die Frage ist nicht, ob Ihr KI-Modell vertrauliche Informationen preisgibt. Sondern wie viel, und ob das verbleibende Restrisiko für Ihren Anwendungsfall akzeptabel ist.
Bei hegyon.ai bauen wir die Governance-Schicht, die zwischen Ihren Mitarbeitern, Ihren Daten und KI-Modellen sitzt. Jede Interaktion wird gesteuert, jeder Datenfluss kontrolliert und jede Anfrage durchläuft Policy-Enforcement, denn im Zeitalter der Inferenz-Angriffe reicht Perimetersicherheit allein nicht mehr aus.